如何修复ASP.NET Core MVC中的400错误？邮件确认链接报错

问题原因分析 #

1. 令牌未做URL编码：Identity生成的邮箱确认令牌包含+、/、=等特殊字符，直接拼接进URL后，浏览器会自动转义这些字符（比如+会被替换成空格），导致服务器收到的令牌和生成的原始令牌不一致，验证失败返回400。
2. VerifyEmail方法逻辑漏洞：当传入的userId无效时，user会为null，但代码没有提前终止执行，后续调用ConfirmEmailAsync会触发空引用异常，最终返回400错误。

具体修复步骤 #

1. 对令牌进行URL编码 #

生成确认链接时，必须对令牌做URL编码，确保特殊字符被正确传输：

var confirmationToken = await _userManager.GenerateEmailConfirmationTokenAsync(user);
// 对令牌进行URL编码，避免特殊字符被转义
var encodedToken = Uri.EscapeDataString(confirmationToken);
var confirmationLink = $"https://localhost:44314/Account/VerifyEmail?userId={user.Id}&confirmationToken={encodedToken}";

2. 修复VerifyEmail方法的空引用问题 #

在检测到user为null时，立即返回错误，避免后续代码执行异常：

public async Task<IActionResult> VerifyEmail(string userId, string confirmationToken)
{
    var user = await _userManager.FindByIdAsync(userId);

    if (user == null) 
    {
        _toastNotification.AddErrorToastMessage("无效的用户ID");
        return BadRequest();
    }
    
    var result = await _userManager.ConfirmEmailAsync(user, confirmationToken);

    if (result.Succeeded)
    {
        return View();
    }

    _toastNotification.AddErrorToastMessage("邮箱验证失败，令牌无效或已过期");
    return BadRequest();
}

更规范的链接生成方式（可选） #

推荐使用ASP.NET Core内置的Url.Action方法生成链接，它会自动处理参数编码和路由，避免手动拼接的错误：

var confirmationLink = Url.Action(
    action: "VerifyEmail",
    controller: "Account",
    values: new { userId = user.Id, confirmationToken = confirmationToken },
    protocol: Request.Scheme);

内容的提问来源于stack exchange，提问作者Martino28